Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

Anel Alicic, handelnd unter der Geschäftsbezeichnung qasb
Neue Mainzer Straße 84
60311 Frankfurt am Main, Deutschland
E-Mail: support@qasb.ai

Datenschutzanfragen können an diese Adresse gerichtet werden. Ein Datenschutzbeauftragter ist derzeit nicht benannt. Ändern sich die Organisation oder die Verarbeitungstätigkeiten, wird die Notwendigkeit einer Benennung erneut dokumentiert bewertet; im Fall einer Benennung werden die Kontaktdaten an dieser Stelle veröffentlicht.

2. Rollen bei Organisations- und Arbeitsraum-Nutzung

Für die eigenen Website-, Konto-, Sicherheits-, Abrechnungs- und Produktbetriebszwecke ist qasb Verantwortlicher. Bei Inhalten, die ein Organisationskunde für eigene Zwecke in einen Arbeitsraum eingibt, kann der Kunde Verantwortlicher und qasb Auftragsverarbeiter sein, soweit qasb die Daten ausschließlich nach dokumentierter Weisung verarbeitet. Die Rollenverteilung ergibt sich nicht allein aus der Bezeichnung des Produkts, sondern aus Zweck, tatsächlicher Verarbeitung, Entscheidungshoheit und Vertrag.

Bevor qasb personenbezogene Daten im Auftrag eines Organisationskunden verarbeitet, müssen die konkrete Rollenverteilung, ein gegebenenfalls erforderlicher Auftragsverarbeitungsvertrag, Weisungen, technische und organisatorische Maßnahmen sowie die maßgebliche Unterauftragsverarbeiterliste dokumentiert sein. Die öffentliche AVV-Information ersetzt keinen beiderseits wirksam vereinbarten Vertrag.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten insbesondere für:

• Bereitstellung von Website, Konto, Arbeitsraum, Chat, Analysen, Dateien, Artefakten und Support zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO),
• Abrechnung, Buchführung, Steuer- und handelsrechtliche Nachweise (Art. 6 Abs. 1 lit. b und c DSGVO),
• IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse und Rechtsverteidigung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO),
• optionale, authentifizierte und datensparsame Tagesaggregierung von Ereignissen zu öffentlichen Seitenaufrufen und Schritten bis zur Anmeldung sowie normalisierter Core Web Vitals nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG),
• Bearbeitung von Datenschutzrechten, Widerrufen, Kündigungen und Meldungen rechtswidriger Inhalte zur Erfüllung gesetzlicher Pflichten, zur Identitäts- und Missbrauchsprüfung sowie zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b, c und f DSGVO).

Soweit wir Daten auf Art. 6 Abs. 1 lit. f DSGVO stützen, bestehen die berechtigten Interessen insbesondere in einem sicheren, stabilen und wirtschaftlichen Betrieb, der Abwehr von Angriffen, der Verhinderung missbräuchlicher Nutzung sowie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine andere Rechtsgrundlage oder eine Zweckänderung wird nicht allein dadurch geschaffen, dass ein Nutzer Daten in ein Freitextfeld eingibt.

4. Websiteaufruf und technische Protokolle

Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Referrer soweit übermittelt, Browser- und Geräteinformationen, Antwortstatus sowie Sicherheits- und Fehlerdaten. Diese Daten sind erforderlich, um Inhalte auszuliefern, Angriffe zu erkennen und den Dienst stabil zu betreiben (Art. 6 Abs. 1 lit. f DSGVO).

Cloudflare, Inc. stellt Hosting, Edge-Auslieferung und Content-Delivery-Funktionen bereit. Aufgrund globaler Auslieferungsnetze kann eine Verarbeitung außerhalb der EU bzw. des EWR nicht in jedem Fall ausgeschlossen werden. Welche Region, Logkonfiguration, Unterauftragnehmer und Transfermechanismen gelten, richtet sich nach der tatsächlich eingesetzten Konfiguration und den dazu vereinbarten Unterlagen.

5. Konto, Anmeldung und Kommunikation

Für ein Konto verarbeiten wir E-Mail-Adresse, Nutzer-ID, Authentifizierungsereignisse, Sitzungs- und Sicherheitsmetadaten, Einstellungen, Tarifstatus und gegebenenfalls Organisations- oder Arbeitsraum-Zuordnungen. Die Anmeldung erfolgt per E-Mail-Link oder über Google OAuth; qasb speichert kein eigenes Kontopasswort. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO.

Google stellt dabei den OAuth-Identitätsdienst bereit. Bei Wahl der Google-Anmeldung werden die für den OAuth-Vorgang erforderlichen technischen Daten an Google übermittelt; qasb erhält die vom Nutzer freigegebenen Identitäts- und Profildaten. Umfang und weitere Verarbeitung richten sich auch nach dem verwendeten Google-Konto und dem dort angezeigten Einwilligungsdialog.

Supabase stellt insbesondere Datenbank, Authentifizierung und Dateispeicher bereit. Transaktionale E-Mails können über Supabase und Resend versendet werden. Dabei werden Empfängeradresse, Nachrichteninhalt sowie Zustell- und Fehlerdaten verarbeitet.

6. Chat-, Analyse-, Arbeitsraum- und Artefaktdaten

Bei der Nutzung verarbeiten wir insbesondere Eingaben und Chatverläufe, gewählte Rollen und Analysetiefen, Quellenanfragen, Rechercheergebnisse, Bewertungen, Feedback, Status- und Nutzungsmetadaten, Arbeitsraum-Zuordnungen sowie erzeugte Analysen, Pläne, Dokumente und sonstige Artefakte einschließlich ihrer Versionen. Zweck ist die vom Nutzer angeforderte Leistung und die Speicherung seiner Arbeitsergebnisse (Art. 6 Abs. 1 lit. b DSGVO).

qasb verwendet Kundeninhalte nicht gezielt zum Training eines eigenen allgemeinen Basismodells. Ob und wie ein externer KI-Anbieter Inhalte speichert oder für eigene Zwecke verwendet, richtet sich nach der konkret vereinbarten Anbieterleistung, Konfiguration und Vertragslage. Eine Zero-Data-Retention- oder Nichttraining-Zusage gilt nur, wenn sie für den konkreten Datenfluss ausdrücklich vereinbart und technisch wirksam ist.

Für persönliche qasb-Chats und Orbit gilt: Der Wortlaut von Kundeneingaben sowie Datei-, Arbeitsraum-, Orbit-, Konto- und Abrechnungsdaten werden nicht an Perplexity übermittelt. Eine Recherche zu einer Frage kann jedoch Suchanfragen an Perplexity auslösen, die qasb aus der Frage ableitet; Einzelheiten stehen in Abschnitt 9. Ein davon getrennter Dienst zur Beschaffung öffentlicher, nicht personenbezogener Quellen ist kein Empfänger von Kunden-, Konto-, Authentifizierungs-, Chat-, Datei-, Arbeitsraum-, Orbit- oder Abrechnungsdaten. Welche Empfänger für eine konkrete gebuchte Funktion gelten, ergibt sich aus der aktuellen Anbieterinformation und, soweit erforderlich, dem vereinbarten AVV.

7. Organisationsanalysen und Beschäftigtendaten

Der vertragsgemäße Zweck organisationsbezogener qasb-Analysen ist auf Rollen, Aufgaben, Kompetenzen und aggregierte Organisationsstrukturen begrenzt. qasb ist nicht für die Bewertung oder Rangfolge identifizierter oder identifizierbarer Bewerber oder Beschäftigter und nicht für Entscheidungen über Einstellung, Beförderung, Leistungsüberwachung, Kündigung oder personenbezogene Aufgabenverteilung bestimmt.

Namen, Personalnummern, E-Mail-Adressen, Lebensläufe sowie Leistungs-, Verhaltens-, Gesundheits- oder Disziplinardaten dürfen für solche Zwecke nicht eingegeben oder hochgeladen werden. Im vorgesehenen Analysepfad für Organisationsdaten werden erkannte Datensätze zu Rollenaggregaten verarbeitet; Rohzeilen sollen nicht als Modellkontext verwendet und Gruppen unter fünf Einheiten unterdrückt werden. Diese technischen Schutzmaßnahmen verhindern nicht jede fehlerhafte Eingabe und ersetzen keine Rechtsgrundlage oder organisatorische Prüfung.

Der Organisationskunde muss vor jeder Beschäftigtendatenverarbeitung insbesondere Erforderlichkeit und Rechtsgrundlage nach DSGVO und Beschäftigtendatenschutz, Informationspflichten, Löschung, Betroffenenrechte und die Beteiligung der Arbeitnehmervertretung prüfen. Eine Datenschutz-Folgenabschätzung ist vor Beginn zu prüfen und bei Vorliegen der Voraussetzungen durchzuführen. Eine Einwilligung im Beschäftigungsverhältnis ist wegen des Abhängigkeitsverhältnisses nicht automatisch freiwillig.

Weitere verbindliche Grenzen stehen unter KI-Transparenz und in den Nutzungsregeln.

8. Dateien, extrahierte Inhalte und besondere Datenkategorien

Bei Uploads verarbeiten wir Dateiname, Dateityp, Dateigröße, Speicherpfad, Dateiinhalt, Sicherheitsstatus, extrahierten Text sowie daraus erzeugte Ergebnisse. Dateien können vor der Nutzung auf unterstützte Formate, Größe und erkennbare Sicherheitsrisiken geprüft werden. Je nach Dateityp kann der erforderliche Inhalt zur OCR- oder Modellverarbeitung an einen beauftragten Dienstleister übermittelt werden (Art. 6 Abs. 1 lit. b und f DSGVO).

Nutzer dürfen nur Inhalte hochladen, die sie rechtmäßig verarbeiten lassen dürfen. Ohne ausdrücklich dokumentierten, rechtlich und vertraglich abgedeckten Datenfluss dürfen insbesondere keine Gesundheitsdaten, biometrischen Daten, Daten zu Religion oder Gewerkschaft, Strafdaten, Berufsgeheimnisse, Geschäftsgeheimnisse oder personenbezogenen Beschäftigtendaten übermittelt werden. Das bloße Vorhandensein eines Uploadfeldes erlaubt keine Verarbeitung besonderer Datenkategorien.

9. KI-Verarbeitung und Webrecherche

• Mistral AI SAS, Frankreich: Soweit Mistral AI für die gebuchte Funktion eingesetzt wird, können die für eine Antwort erforderlichen Prompts, ausgewählten Gesprächsteile, Artefakte und Dateiinhalte verarbeitet werden. Maßgeblich sind der für den konkreten Datenfluss vereinbarte Endpunkt, die Region, der Vertrag, die Unterauftragnehmer und die Aufbewahrung. Mistrals öffentliches Data Processing Addendum unterscheidet die Auftragsverarbeitung von eigenen Zwecken, darunter Missbrauchskontrolle und unter bestimmten Bedingungen Modelltraining. Ein vertraglicher oder eingestellter Ausschluss von Training sowie Ausnahmen für an Mistral übermitteltes Feedback müssen für die konkret genutzte Leistung geprüft werden. Die Verlinkung belegt keine von qasb vereinbarte Sonderregelung.
• OpenAI: Soweit die Textgenerierung mit GPT-6 Luna aktiviert ist, übermittelt qasb die dafür erforderlichen Prompts, ausgewählten Gesprächsinhalte, hinterlegten Nutzer- und Arbeitsraum-Anweisungen und freigegebenen Quellenpassagen an die OpenAI API. Fügt ein Nutzer einer Analyse Dateien oder gespeicherte Ergebnisse hinzu, können auch deren Inhalte übermittelt werden; bei Dateien ist das der daraus extrahierte Text. Der verwendete globale Endpunkt api.openai.com stellt keine zugesicherte EU-Datenverarbeitung dar. qasb setzt bei Chat Completions store: false; dies ist keine Zusicherung von Zero Data Retention. Nach den Angaben zu API-Datenkontrollen werden API-Inhalte ohne ausdrückliche Freigabe nicht zum Modelltraining verwendet. Missbrauchsprotokolle können standardmäßig bis zu 30 Tage und in den dort beschriebenen Ausnahmefällen länger aufbewahrt werden; Prompt-Caches können zusätzliche, zeitlich begrenzte Verarbeitung erfordern. Für abweichende Aufbewahrung oder eine regionale Verarbeitung sind gesonderte, tatsächlich aktivierte Vertrags- und Projekteinstellungen erforderlich.
• OpenAI Decisions (Quellenprüfung): Soweit die Quellenprüfung freigegeben ist, übermittelt qasb die zu prüfende Aussage, ausgewählte Passagen aus öffentlichen Originalquellen und technische Quellenkennungen an die OpenAI Decisions API mit GPT-6 Luna. Die Aussage wird in der Regel als feste Prüfaussage mit einem öffentlichen Bezugsgegenstand wie einer Berufsbezeichnung aus der Frage abgeleitet, ohne deren Wortlaut zu übernehmen. Bestätigt ein Nutzer vor dem Start eigene Prüfaussagen, wird dieser Text übermittelt. Die Einordnung, ob eine Passage eine Aussage stützt, ihr widerspricht oder dafür nicht ausreicht, bleibt ein Hinweis und keine unabhängige Bestätigung einer Wirkung oder numerische Scorefreigabe. qasb prüft Quelle, Rechte und Belegstelle gesondert. Ein privater Aktenabgleich bleibt ohne eine aktuelle, ausdrücklich für OpenAI erteilte Zweckfreigabe und Zustimmung für die betreffende Akte gesperrt. Nach dieser gesonderten Freigabe können zusätzlich Aktenname, ausgewählte öffentliche Aussage und ein Auszug der gespeicherten Analyse, zusammen höchstens 2.500 Zeichen, sowie interne Kennungen der Akte und der Zustimmung übermittelt werden. Frühere TypeSafe-Freigaben erlauben diese OpenAI-Übermittlung nicht. Der globale Endpunkt api.openai.com sichert weder EU-Verarbeitung noch Zero Data Retention zu; maßgeblich sind die tatsächlich vereinbarten und aktivierten Datenkontrollen.
• TypeSafe (Jev, historisch): Neue Prüfaufträge werden nicht mehr an TypeSafe übermittelt. Bereits gespeicherte Quellenprüfungen und Abrechnungsbelege bleiben mit ihrem ursprünglichen Anbieter und Modell nachvollziehbar; sie werden nicht als neue OpenAI-Prüfung ausgewiesen. Für frühere Übermittlungen bleiben die damaligen Datenflüsse und anwendbaren Aufbewahrungs- und Löschregelungen maßgeblich.
• OpenAlex: Für die Suche nach wissenschaftlichen Originalquellen sendet qasb Suchanfragen an die OpenAlex-API. Bei automatisch geplanter Recherche bestehen sie aus festen Suchbegriffen und gegebenenfalls einem öffentlichen Bezugsgegenstand wie einer Berufsbezeichnung oder dem öffentlich verzeichneten Namen eines Produkts oder einer Organisation; qasb leitet sie aus der Frage ab, übernimmt aber nicht deren Wortlaut. Formuliert ein Nutzer eigene Suchanfragen und bestätigt sie vor dem Start, wird dieser Text übermittelt. Konto-, Datei-, Arbeitsraum- und Abrechnungsdaten erhält OpenAlex nicht. Treffer sind Literaturhinweise und keine geprüften Belege. Eine Verarbeitung außerhalb der EU ist möglich; Protokollierung und Aufbewahrung von Suchanfragen richten sich nach den Bedingungen des Anbieters.
• Perplexity AI, Inc.: qasb kann die Such-API von Perplexity einsetzen, um öffentliche Originalquellen für eine Recherche oder eine Aktenüberwachung zu finden. Perplexity erhält dabei Suchanfragen, die qasb aus der Frage oder, bei der Aktenüberwachung, aus dem Bereich und den Titeln der Quellen zu den ausgewählten öffentlichen Aussagen der Akte ableitet und auf ein festes Vokabular begrenzt. Sie bestehen aus festen Suchbegriffen und gegebenenfalls einem öffentlichen Bezugsgegenstand wie einer Berufsbezeichnung. Der Wortlaut der Frage, vom Nutzer formulierte Suchanfragen, Dateien, Akteninhalte sowie Konto-, Arbeitsraum- und Abrechnungsdaten werden nicht an Perplexity übermittelt. Thema und Bezugsgegenstand einer Suchanfrage können dennoch Rückschlüsse auf die gestellte Frage zulassen. Die Treffer sind unqualifizierte Hinweise und dürfen erst nach gesonderter Prüfung von Quelle, Rechten, Zuordnung und fachlicher Tragfähigkeit in Kundenergebnisse einfließen. Eine Perplexity-Ausgabe ist weder Quelle noch fachliche Autorität.

Rechtsgrundlage für die vom Nutzer angeforderte KI-Verarbeitung ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsfilter können ergänzend auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Bei Organisationsdaten ist zusätzlich die konkrete Rolle und Weisungslage zu berücksichtigen. Informationen zum Systemzweck und zu menschlicher Kontrolle stehen unter KI-Transparenz.

Öffentliche Quellen und personenbezogene Angaben

Für die Recherche-Wissensbasis verarbeitet qasb öffentlich zugängliche Veröffentlichungen und lizenzierte Datensätze, etwa wissenschaftliche Publikationen, amtliche Statistiken, Unternehmensberichte und dokumentierte Fachbeiträge. Darin können insbesondere Namen und berufliche Funktionen von Autorinnen, Autoren oder öffentlich zitierten Fachpersonen, ihre zugeordneten Aussagen sowie Angaben zu öffentlich dokumentierten Sachverhalten enthalten sein. Diese Angaben stammen aus den jeweiligen Veröffentlichungen und nicht unmittelbar von den betroffenen Personen.

Soweit dabei personenbezogene Daten verarbeitet werden, ist Zweck die quellenbezogene Recherche, Zuordnung und verständliche Einordnung von KI-Wirkungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit die dokumentierte Abwägung dieses Informationsinteresse gegenüber den Rechten und Interessen der betroffenen Personen trägt. Die öffentliche Zugänglichkeit allein ist weder eine Rechtsgrundlage noch eine Erlaubnis zur beliebigen Weiterverwendung. Quellenherkunft, Veröffentlichungsstand und Zuordnung werden mit den Belegen nachvollziehbar gemacht; die Verarbeitung erfolgt über die in dieser Erklärung beschriebenen Recherche-, KI- und Infrastruktur-Datenflüsse.

Diese Informationen gelten auch für Personen ohne qasb-Konto, deren Angaben in einer Quelle vorkommen. Berichtigung, Löschung, Einschränkung und Widerspruch können über die in Abschnitt 18 genannten Wege geltend gemacht werden. Quellenbezogene personenbezogene Angaben werden nur so lange aufbewahrt, wie sie für den dokumentierten Recherche- und Nachweiszweck erforderlich und rechtmäßig sind. Eine Ausnahme von der individuellen Information nach Art. 14 DSGVO wird nicht allein wegen der Menge oder öffentlichen Herkunft der Daten angenommen; ihre Voraussetzungen und erforderlichen Schutzmaßnahmen müssen für den jeweiligen Datenbestand gesondert geprüft und dokumentiert werden.

10. Spracheingabe und öffentliche Freigaben

Die Spracheingabe nutzt – soweit vom Browser unterstützt – die Web Speech API. qasb erhält über diese Funktion grundsätzlich den erkannten Text, nicht absichtlich eine von qasb gespeicherte Audioaufnahme. Ob Audiodaten lokal oder durch einen Dienst des Browser- oder Betriebssystemanbieters verarbeitet werden, hängt vom verwendeten Browser, Gerät und dessen Einstellungen ab. Die Funktion ist optional und erfordert eine Mikrofonberechtigung.

Aktiviert ein Nutzer eine Freigabefunktion, können ausgewählte Ergebnisse über einen Freigabelink öffentlich oder für Personen mit dem Link abrufbar werden. Nutzer müssen vorher personenbezogene, vertrauliche und geschützte Inhalte entfernen. qasb verarbeitet Freigabestatus, technische Kennung und Abrufdaten zur Bereitstellung und Missbrauchsabwehr (Art. 6 Abs. 1 lit. b und f DSGVO).

11. Zahlung und Abonnementverwaltung

Soweit Stripe für einen kostenpflichtigen Tarif eingesetzt wird, verarbeitet Stripe insbesondere Kontakt-, Rechnungs-, Zahlungs-, Steuer-, Abonnement- und Betrugspräventionsdaten. Vollständige Kartendaten werden nicht in den qasb-Systemen gespeichert. qasb erhält je nach Vorgang unter anderem E-Mail-Adresse, Kunden- und Abonnementkennung, Zahlungsstatus, Betrag, Währung und rechtliche Checkout-Metadaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO.

12. Datenschutzrechte, Widerrufe, Kündigungen und Meldungen

Über die Seiten Datenschutzrechte, Widerruf, Kündigung und Rechtsverstoß melden verarbeiten wir die dort erforderlichen Identifikations-, Vertrags-, Kontakt- und Begründungsdaten, das geltend gemachte Datenschutzrecht, den Eingangszeitpunkt, eine Vorgangsnummer, Identitäts-, Zustell- und Bearbeitungsstatus. Bei einer Meldung zu mutmaßlichen Straftaten des sexuellen Missbrauchs oder der sexuellen Ausbeutung von Kindern sind Name und E-Mail-Adresse nicht erforderlich. Ohne E-Mail-Adresse kann keine spätere elektronische Entscheidung zugestellt werden.

Die Daten werden zur Entgegennahme, Bestätigung, Prüfung, Durchführung und zum gesetzlichen Nachweis des jeweiligen Vorgangs verwendet (Art. 6 Abs. 1 lit. b und c sowie, für Rechtsverteidigung, lit. f DSGVO).

13. Cookies und lokaler Browserspeicher

Technisch erforderliche Cookies oder vergleichbare Speichertechnologien werden nur für Anmeldung, Sitzungssicherheit, eine ausdrücklich gewählte Sprache oder Darstellung, angeforderte OAuth-/Checkout-/Analyse-Übergaben, lokale Entwürfe und Ergebnisse, UI-Wiederherstellung sowie die verlässliche Anwendung der Datenschutzentscheidung eingesetzt. Die Zuordnung als „erforderlich“ nach § 25 Abs. 2 TDDDG ersetzt nicht die für die anschließende personenbezogene Verarbeitung erforderliche Rechtsgrundlage nach Art. 6 DSGVO. Namen, Trigger, Inhalte, Empfänger und Gültigkeit jedes aktuell erreichbaren Schlüssels stehen in der Cookie-Richtlinie.

Der gerätebezogene Browser-Einwilligungsbeleg der Version 2026-08-31 enthält ausschließlich Version, Ja/Nein-Wert für optionale Statistik und den genauen Entscheidungszeitpunkt. Er gilt höchstens 180 Tage. Nach Ablauf wird er nicht mehr als wirksame Auswahl akzeptiert und eine neue Entscheidung verlangt. Ein älterer Eintrag kann bis zur nächsten Auswahl oder manuellen Browserlöschung physisch vorhanden bleiben, wird aber nicht für Statistik verwendet.

Bei angemeldeten Nutzern synchronisiert qasb diese Browserentscheidung zusätzlich in eine getrennte aktuelle Konto-Projektion mit Konto-ID, Version, Ja/Nein-Wert, Entscheidungszeit, Quelle und Serverzeit. Ein gesonderter, unveränderlicher Einwilligungsbeleg enthält außerdem eine zufällige Anfrage-ID, Einweg-Prüfsummen von Betroffenenbezug und Payload sowie den Projektionsstatus. Er enthält keinen Namen, keine E-Mail-Adresse, keine IP-Adresse und keinen User-Agent. Die Konto-Projektion dient insbesondere dazu, Statistik bei einer abweichenden, veralteten oder widerrufenen Kontoentscheidung serverseitig zu unterdrücken.

qasb lädt kein Skript eines externen Statistik-Anbieters. Optionale Statistik wird ausschließlich an einen von qasb kontrollierten Supabase-Edge-Endpunkt gesendet. Voraussetzung sind ein aktueller zustimmender Browserbeleg, eine authentifizierte nicht anonyme Nutzersitzung und eine exakt passende zustimmende Konto-Projektion. Anonyme öffentliche Ereignisse werden nicht aggregiert. Ereignisse zu Seitenaufrufen und Schritten bis zur Anmeldung sind nur für eine feste Liste öffentlicher, nicht-sensibler Routenvorlagen zugelassen. Core Web Vitals können auf einer Stichprobe zusätzlich für normalisierte öffentliche und festgelegte App-Routenvorlagen gezählt werden. DNT oder GPC sperren jeden dieser Vorgänge technisch auch dann, wenn im Browser noch eine Zustimmung gespeichert ist.

Der Edge-Endpunkt verarbeitet Nutzer-JWT und exakten Entscheidungszeitpunkt, um Sitzung und Konto-Zustimmung zu prüfen. Dauerhaft gespeichert wird ausschließlich ein UTC-Tagesaggregat aus freigegebenem Ereignisnamen, normalisierter Routenvorlage, vier endlichen Dimensionsschlüsseln und Zähler. Bei Core Web Vitals kommen Metrikname (LCP, INP oder CLS), deterministische Bewertung, Navigationstyp, Abschlusskennzeichen sowie Anzahl, Summe, Minimum und Maximum des Messwerts hinzu. Das Aggregat enthält keine Nutzer-ID, keine IP-Adresse, keinen User-Agent, keine rohe URL, keinen Query-String, kein URL-Fragment, keinen Referrer, keinen JWT, keinen Freitext, keinen Payload und keinen einzelnen Ereignis- oder Entscheidungszeitstempel. Konkrete App-Objekt-IDs werden in der Routenvorlage durch Platzhalter ersetzt. Login-, Admin-, private Freigabe-, Labor-, Datenschutzrechte-, Widerrufs-, Melde-, Kontakt-, Barrierefreiheits- und Supportpfade sowie Pfade mit sensiblen Token-Parametern sind ausgeschlossen.

Die Einwilligung kann jederzeit über „Datenschutzeinstellungen“ mit Wirkung für die Zukunft geändert werden. Eine Ablehnung beeinträchtigt weder Anmeldung noch Grundfunktionen, Leistungsumfang oder Preise.

14. Empfänger, Unterauftragsverarbeiter und Drittlandübermittlungen

Empfänger können – soweit für den jeweiligen Datenfluss erforderlich und in der aktuellen Anbieter- oder Vertragsinformation dokumentiert – Cloudflare, Supabase, Google, Mistral AI, OpenAI, TypeSafe (für historische Übermittlungen), OpenAlex, Perplexity, Stripe, Resend sowie dokumentierte Unterauftragnehmer dieser Anbieter sein. Außerdem können Daten an Berater, Gerichte oder Behörden übermittelt werden, wenn dies rechtlich erforderlich ist.

Für optionale Statistik ist Supabase der einzige externe technische Empfänger: Der produktive Supabase-Edge-Endpunkt authentifiziert die Sitzung und prüft die Konto-Einwilligung, bevor der qasb-kontrollierte Datenbankpfad ausschließlich das kontolose Tagesaggregat erhöht. Ein separater Plausible- oder sonstiger Drittanbieter-Statistikdienst wird nicht geladen. Normale Verbindungs- und Sicherheitsdaten, die beim Aufruf des Edge-Endpunkts technisch anfallen können, fallen unter die Angaben zu technischen Protokollen in Abschnitt 4 und sind nicht Teil des Tagesaggregats.

Perplexity erhält im hier beschriebenen Leistungsumfang nur die in Abschnitt 9 beschriebenen, aus einer Frage oder Akte abgeleiteten Suchanfragen. Ein davon getrennter Dienst zur Beschaffung öffentlicher Quellen ist auf öffentliche, nicht personenbezogene Daten begrenzt. Für Perplexity, OpenAlex und OpenAI sowie für einen solchen Dienst müssen Anbieterrolle, Vertragsgrundlage und etwaige Drittlandübermittlung für den jeweiligen Datenfluss gesondert dokumentiert sein.

Die für eine konkrete Auftragsverarbeitung maßgebliche Unterauftragsverarbeiterliste muss Namen, Leistung, Datenkategorien, Verarbeitungsort, Transfermechanismus und Änderungsverfahren enthalten. Eine bloße Liste technisch möglicher Integrationen reicht nicht. Vor B2B-Vertragsschluss müssen die tatsächlich eingesetzten Anbieter und Datenregionen mit AVV, Sicherheitsdokumentation und Produktkonfiguration übereinstimmen.

Einige Anbieter oder Unterauftragnehmer können Daten außerhalb der EU bzw. des EWR verarbeiten. Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO greift, bedarf die Übermittlung geeigneter Garantien, insbesondere EU-Standardvertragsklauseln nach Art. 46 DSGVO, sowie der Prüfung erforderlicher ergänzender Maßnahmen. Informationen zu einem konkreten Empfänger können über support@qasb.ai angefragt werden, einschließlich einer Kopie der maßgeblichen Garantien oder Angaben dazu, wo diese verfügbar sind.

15. Speicherdauer, Löschung und Sicherungskopien

Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck, die Vertragsdurchführung, Sicherheit, Rechtsverteidigung oder gesetzliche Aufbewahrung erforderlich ist. Konto- und Produktinhalte bleiben grundsätzlich bis zur nutzerseitigen Löschung, Kontolöschung oder bis zum Ende einer dokumentierten Vertrags- und Wiederherstellungsfrist gespeichert. Gelöschte Daten können während eines begrenzten, dokumentierten Rotationszeitraums in verschlüsselten Sicherungskopien enthalten sein und dürfen dort nicht für normale Produktzwecke wiederhergestellt werden.

Rechnungs- und Buchungsdaten werden entsprechend den anwendbaren steuer- und handelsrechtlichen Fristen aufbewahrt. Für Sicherheits- und Missbrauchsprotokolle sowie rechtliche Anfragen gelten nach Datenkategorie festgelegte Fristen. Die für eine konkrete gebuchte Leistung geltenden Fristen und Ausnahmen ergeben sich aus der zugehörigen Produkt- und Vertragsinformation; allgemeine Angaben auf dieser Seite verkürzen keine gesetzlichen Aufbewahrungspflichten.

Eine Kontoschließung kann in den Kontoeinstellungen beantragt werden. Die Löschung wird zunächst für sieben Tage vorgemerkt; bis zu ihrem Beginn kannst du den Antrag dort zurückziehen. Über den Antrag, den vorgesehenen Löschtermin und die Möglichkeit der Rücknahme informieren wir per E-Mail. Ein aktives Abonnement ist zuvor zu kündigen. Gehört zum Konto eine Organisation mit weiteren aktiven Mitgliedern oder ist eine Zahlung noch in Klärung, wird die Löschung bis zur Klärung zurückgestellt; der Grund wird im Antragsstatus angezeigt. Mit der Ausführung wird die Anmeldung dauerhaft gesperrt, und Konto- und Produktinhalte wie Chats, Analysen, Akten, Dateien, Arbeitsräume und Einstellungen werden gelöscht.

Datensätze, die wir aufgrund gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) oder zum Nachweis von Abrechnung, Nutzung und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO) aufbewahren, werden bei einer Kontoschließung nicht gelöscht, sondern pseudonymisiert. Dazu gehören insbesondere Buchungs-, Nutzungs- und Zahlungsbelege sowie Prüf- und Sicherheitsprotokolle. E-Mail-Adresse, Name und weitere Profilangaben werden dabei entfernt oder durch einen Platzhalter ersetzt; die Datensätze bleiben nur über eine zufällig erzeugte interne Kennung miteinander verbunden. Es handelt sich um eine Pseudonymisierung und nicht um eine Anonymisierung: Über die Kundenreferenz bei unserem Zahlungsdienstleister Stripe sowie über Einweg-Prüfsummen kann der Bezug zu deiner Person im Einzelfall wiederhergestellt werden, etwa für eine steuerliche Prüfung oder zur Rechtsverteidigung. Die bei Stripe geführten Kunden- und Zahlungsdaten werden durch die Kontoschließung nicht verändert; für sie gelten die Angaben in Abschnitt 11. Die pseudonymisierten Datensätze werden nicht für Produktzwecke verwendet, bis zum Ablauf der jeweils maßgeblichen Aufbewahrungsfrist gespeichert und danach gelöscht. Solange für eine Belegart keine kürzere Frist festgelegt ist, legen wir vorsorglich eine Aufbewahrung von bis zu zehn Jahren zugrunde. Technische Protokolle unserer Anmelde- und Hostingdienste können die E-Mail-Adresse noch für deren begrenzte Aufbewahrungsdauer enthalten. Eine erneute Registrierung mit derselben E-Mail-Adresse oder demselben Google-Konto ist möglich und führt zu einem neuen Konto ohne Verbindung zu den gelöschten Inhalten.

Der Browserbeleg und die darauf beruhende Zählberechtigung gelten 180 Tage. Auch die Tagesaggregate werden auf höchstens 180 UTC-Kalendertage begrenzt; ein täglicher Datenbankjob und zusätzlich jeder zulässige Schreibvorgang löschen ältere Tage. Die Frist beginnt für Aggregate mit dem jeweiligen UTC-Kalendertag und nicht mit dem Entscheidungszeitpunkt des Browserbelegs. Die aktuelle Konto-Projektion wird bei Kontolöschung mit dem Konto gelöscht. Beim unveränderlichen Einwilligungsbeleg wird die direkte Konto-ID bei Kontolöschung abgetrennt; Einweg-Prüfsummen können für den dokumentierten Nachweiszeitraum fortbestehen. Tagesaggregate enthalten keinen Kontobezug und können weder einem Konto zugeordnet noch bei dessen Löschung selektiv aus einem Zähler entfernt werden. Die konkrete Aufbewahrungsfrist für Einwilligungsbelege und technische Edge-Protokolle muss im produktiven Löschkonzept getrennt festgelegt und nachgewiesen sein.

16. Profiling und automatisierte Entscheidungen

qasb trifft keine ausschließlich automatisierte Entscheidung, die einer betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Scores und KI-Ausgaben sind Informations- und Entscheidungsunterstützung. Nutzer dürfen sie nicht zur automatisierten personenbezogenen Beschäftigten- oder Bewerberentscheidung einsetzen.

Rollen- und Aufgabenanalysen können Muster, Szenarien oder Prioritäten auf aggregierter Ebene bilden. Sie sind nicht für personenbezogenes Profiling bestimmt. Eine Funktion, die natürliche Personen bewertet, vorhersagt oder kategorisiert, erfordert eine gesonderte Prüfung auf Profiling, Art.-22-Relevanz, Datenschutz-Folgenabschätzung und Hochrisiko-Einstufung.

17. Pflicht zur Bereitstellung und Sicherheit

Bestimmte Daten sind für Vertragsschluss und Leistung erforderlich, insbesondere E-Mail-Adresse, Authentifizierungsdaten und die für eine angeforderte Funktion notwendigen Eingaben. Ohne diese Daten kann der jeweilige Dienst nicht bereitgestellt werden. Optionale Angaben und optionale Reichweitenmessung sind nicht Voraussetzung für die Grundfunktionen.

qasb setzt technische und organisatorische Maßnahmen ein, darunter Zugriffsbeschränkungen, getrennte Rollen, Transportverschlüsselung, Protokollierung, Rate-Limits, Sicherheitsprüfungen von Uploads und kontrollierte administrative Zugriffe. Umfang und Wirksamkeit müssen regelmäßig geprüft werden. Sicherheitsprobleme können an support@qasb.ai gemeldet werden.

18. Rechte betroffener Personen

Betroffenen Personen stehen insbesondere folgende Rechte zu:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO nach Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Dein Widerspruchsrecht

Du kannst einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht weiter, außer wir weisen überwiegende zwingende schutzwürdige Gründe nach oder benötigen sie für Rechtsansprüche. Gegen eine Verarbeitung für Direktwerbung kannst du jederzeit ohne Begründung widersprechen; dies umfasst damit verbundenes Profiling. Für solche Werbung werden die Daten dann nicht mehr verarbeitet.

Anfragen und Widerruf einer Einwilligung

Zur Ausübung stehen das Formular „Datenschutzrechte“ und eine E-Mail an support@qasb.ai bereit. Eine Eingangsbestätigung bestätigt weder die Identität noch die materielle Berechtigung oder den Abschluss der Bearbeitung. Zur Verhinderung unbefugter Auskünfte können wir einen angemessenen Identitätsnachweis verlangen. Bei Organisationskonten kann qasb eine Anfrage an den verantwortlichen Organisationskunden weiterleiten oder ihn bei der Bearbeitung unterstützen, soweit qasb als Auftragsverarbeiter handelt.

Über Maßnahmen zu deiner Anfrage informieren wir unverzüglich, grundsätzlich spätestens innerhalb eines Monats nach Eingang. Bei komplexen oder zahlreichen Anträgen kann sich diese Frist um bis zu zwei weitere Monate verlängern; darüber und über die Gründe informieren wir innerhalb des ersten Monats. Bei einer Ablehnung erläutern wir die Gründe und die verfügbaren Beschwerde- und gerichtlichen Rechtsbehelfe. Anfragen sind grundsätzlich unentgeltlich; gesetzliche Ausnahmen bleiben unberührt.

Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der Verarbeitung bis zum Widerruf. Für optionale Reichweitenmessung kannst du die „Datenschutzeinstellungen“ verwenden; weitere Einwilligungen kannst du über den oben genannten Kontakt widerrufen.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, am Arbeitsplatz oder am Ort des vermuteten Verstoßes (Art. 77 DSGVO). Für qasb ist grundsätzlich der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig. Dessen Beschwerdeformular und Hinweise zur sicheren Übermittlung stehen online bereit. Postanschrift: Postfach 3163, 65021 Wiesbaden.

19. Minderjährige und Änderungen

qasb richtet sich nicht an Personen unter 18 Jahren. Erhalten wir Kenntnis, dass ein Konto ohne wirksame Berechtigung für eine minderjährige Person geführt wird, prüfen wir Sperrung und Löschung unter Beachtung gesetzlicher Pflichten.

Wir aktualisieren diese Datenschutzerklärung, wenn sich Datenflüsse, Funktionen, Dienstleister oder die Rechtslage ändern. Wesentliche Änderungen, die bestehende Nutzer betreffen, werden in geeigneter Form mitgeteilt. Es gilt die auf dieser Seite veröffentlichte Fassung.